Рабочие задачи
- Проводить анализ защищенности приложений и участвовать в threat modeling.
- Встраивать практики AppSec в SDLC и CI/CD.
- Выявлять и сопровождать устранение уязвимостей в коде и зависимостях.
- Консультировать команды разработки и формировать требования безопасности.
Профильные навыки
- Коммерческий опыт в AppSec, включая самостоятельное проведение аудитов безопасности веб-приложений, API и мобильных приложений.
- Глубокое знание актуальных векторов атак: OWASP Top 10, OWASP API Security Top 10, CWE, SANS Top 25 - с умением объяснять механику эксплуатации и методы защиты
- Практический опыт работы с инструментами SAST (Semgrep, Checkmarx, SonarQube или аналоги) и DAST (Burp Suite Professional, OWASP ZAP, Nuclei)
- Опыт написания кастомных правил или шаблонов для SAST/DAST-инструментов
- Опыт работы в процессах Secure SDLC: участие в threat modeling, security review архитектуры, ревью кода с точки зрения безопасности
- Умение читать и анализировать код на одном или нескольких языках: Java, Python, Go, Kotlin, JavaScript/TypeScript
- Знание характерных для каждого языка паттернов уязвимостей
- Понимание архитектуры микросервисов, REST/gRPC API, контейнеризации (Docker, Kubernetes) и CI/CD-пайплайнов с точки зрения безопасности
- Опыт работы с ASOC-платформами или системами управления уязвимостями (AppSec.Hub, Шерлок, DefectDojo или аналоги)
- Способность самостоятельно писать техническую документацию на русском языке: отчёты по аудитам, threat model, security notes, описания уязвимостей
- Умение писать правила для WAF на основе анализа уязвимостей и актуальных угроз
- Умение объяснять механику эксплуатации уязвимостей (SQLi, SSRF, XXE, IDOR, JWT-атаки и т.д.) на конкретных примерах
Коммерческий опыт
Рассматриваем Junior+, Middle и Senior. Минимум для каждого направления: 6 месяцев коммерческого опыта по профилю. Курсы и личные проекты могут дополнить его.
Курсы и личные проекты не заменяют коммерческий опыт.
Плюсом будет опыт применения AI-инструментов в коммерческой работе: с проверкой результата тестами и ревью, соблюдением конфиденциальности.
Расскажите о своём опыте
Расскажите об аудите или внедрении AppSec-проверок и своей роли в устранении уязвимостей. Используйте обезличенные примеры без деталей, позволяющих атаковать чужие системы.
Рассказать об опытеЗнакомимся со специалистами этого направления для будущих проектов. Эта страница не является объявлением об открытой вакансии.